Zautomatyzowane narzędzia atakujące uderzają w strony przez cały dzień i nie sprawdzają, czy strona jest duża, mała, popularna czy mało znana. Zapora aplikacji internetowej to warstwa, która czyta każde przychodzące żądanie, zanim zrobi to Twoja strona, i zatrzymuje te szkodliwe. Wyróżnia ją od innych narzędzi bezpieczeństwa poziom, na którym działa, i to, co dokładnie czyta.
Większość ruchu, który próbuje włamać się na stronę, nie pochodzi od osoby siedzącej przy klawiaturze. Pochodzi od zautomatyzowanych narzędzi, które przechodzą po listach znanych słabych punktów i wysyłają szkodliwe żądania do tysięcy stron naraz. Zapora aplikacji internetowej jest zaprojektowana właśnie po to, żeby je wyłapywać. Pełny obraz tego, dlaczego strony są atakowane bez względu na wielkość czy cel, znajdziesz w artykule o tym, dlaczego bezpieczeństwo strony jest ważne.
Czym jest zapora aplikacji internetowej?
Zapora aplikacji internetowej, często nazywana WAF, to warstwa ochrony między internetem a Twoją stroną. Każde żądanie, które trafia na stronę, najpierw przechodzi przez zaporę. Zapora sprawdza każde żądanie według zestawu reguł i decyduje, czy je przepuścić, czy zablokować.
Kluczowa różnica między zaporą aplikacji internetowej a zwykłą zaporą sieciową to to, na co patrzą. Zapora sieciowa działa na poziomie połączeń i kontroluje, które serwery mogą ze sobą rozmawiać. Zapora aplikacji internetowej patrzy na treść samego żądania, a tam ukryte są ataki internetowe. Czyta to, co jest wysyłane, a nie tylko skąd przychodzi.
Jak działa zapora aplikacji internetowej?
Co czyta
- Każde przychodzące żądanie niesie informacje: żądany adres URL, dane wysyłane przez formularze i szczegóły, które przeglądarka dołącza do żądania
- Zapora porównuje to wszystko z zestawem reguł opisujących, jak wyglądają szkodliwe żądania
- Żądania pasujące do szkodliwego wzorca są blokowane, zanim w ogóle dotrą do serwera lub kodu strony
Jak decyduje, co zablokować
- Zapory używają zestawów reguł opisujących znane wzorce ataków. Są regularnie aktualizowane, gdy odkrywane są nowe metody ataku
- Niektóre zapory patrzą też na zachowanie w czasie. Źródło wysyłające setki żądań na sekundę albo badające stronę wzorcem pasującym do narzędzia skanującego może zostać zablokowane, nawet jeśli żadne pojedyncze żądanie nie łamie konkretnej reguły
- Zarządzane usługi zapory aktualizują reguły automatycznie. Zapora działająca na starych regułach jest znacznie mniej skuteczna wobec dzisiejszych ataków
Jakie ataki zatrzymuje zapora aplikacji internetowej?
SQL injection
- SQL injection to jeden z najczęstszych ataków internetowych. Polega na wstawieniu szkodliwych poleceń bazy danych do pola formularza lub adresu URL, tak żeby strona wykonała je jak prawdziwe instrukcje
- Udany atak SQL injection może pozwolić atakującemu wyciągnąć z bazy każdy rekord, zmienić treści albo całkowicie je usunąć
- Zapora aplikacji internetowej rozpoznaje wzorce używane w tych atakach i blokuje je, zanim dotrą do strony
Cross-site scripting
- Cross-site scripting, często nazywany XSS, polega na umieszczeniu szkodliwych skryptów na stronie, którą inni odwiedzający ładują potem w swoich przeglądarkach
- Takie skrypty mogą kraść sesje logowania, przekierowywać odwiedzających na inne strony albo zbierać informacje wpisywane w formularzach, tak że nikt tego nie zauważa
- Zapora blokuje żądania niosące te wzorce ataków, zanim jakikolwiek szkodliwy kod dotrze na stronę
Ruch złych botów
- Zautomatyzowane boty stanowią dużą część ruchu na stronach. Niektóre są nieszkodliwe, jak roboty wyszukiwarek. Inne są zbudowane do skanowania w poszukiwaniu słabych punktów, testowania wielkiej liczby haseł na stronie logowania albo kopiowania treści
- Zapora aplikacji internetowej może rozpoznawać i blokować boty pasujące do znanych szkodliwych wzorców, odcinając to, co mogą znaleźć, i zmniejszając obciążenie serwera
Znane narzędzia ataków
- Atakujący używają narzędzi, które wysyłają żądania według wzorców zbadanych i udokumentowanych. Ich sygnatury są wbudowane w zestawy reguł zapór
- Zapora aplikacji internetowej z aktualnymi regułami blokuje żądania pasujące do tych wzorców automatycznie, bez żadnego działania z Twojej strony
Czego zapora aplikacji internetowej nie zatrzyma sama
Zapora to jedna warstwa zabezpieczeń, a nie kompletna odpowiedź.
Logowania ze skradzionymi hasłami
- Zapora aplikacji internetowej nie potrafi stwierdzić, czy logowania dokonał prawdziwy właściciel konta, czy ktoś, kto zdobył hasło gdzie indziej
- Logowanie z poprawną nazwą użytkownika i hasłem wygląda jak normalne żądanie. Zapora je przepuszcza
- Dlatego obok zapory nadal potrzebne są silne hasła i uwierzytelnianie dwuskładnikowe. Jak te zabezpieczenia działają razem, wyjaśnia artykuł o tym, jak chronić stronę przed hakerami
Nowe metody ataku, do których reguły jeszcze nie dotarły
- Gdy w oprogramowaniu strony zostaje znaleziony nowy słaby punkt, między początkiem ataków wykorzystujących go a aktualizacją reguł zapory, które go blokują, jest luka czasowa
- W tym czasie zapora może przepuszczać właśnie takie ataki
- Aktualizowanie oprogramowania strony obok używania zapory znacznie zmniejsza tę lukę
Szkodliwy kod już na stronie
- Zapora aplikacji internetowej filtruje przychodzące żądania. Nie skanuje własnych plików strony pod kątem szkodliwego kodu, który mógł się tam znaleźć po wcześniejszym ataku
- Jeśli coś trafiło na stronę, zanim zapora została uruchomiona, albo metodą, której zapora nie wychwyciła, nie zostanie to wykryte
- Jak wygląda szkodliwy kod na stronie i jak sobie z nim radzić, wyjaśnia artykuł o tym, czym jest malware na stronie i jak wpływa na Twoją stronę
Zapory na poziomie sieci a zapory na poziomie strony
Zapory na poziomie sieci
- Zapora na poziomie sieci działa na poziomie hostingu i filtruje ruch, zanim dotrze do poszczególnych stron
- Zwykle zapewnia ją firma hostingowa lub CDN. Są zbudowane do blokowania ataków na dużą skalę, w tym ataków zalewających, które próbują położyć serwery, wysyłając ogromne ilości ruchu naraz
- Działają na szerokim poziomie i lepiej filtrują wolumen ruchu i wzorce połączeń niż czytają konkretną treść pojedynczych żądań
Zapory na poziomie strony
- Zapora aplikacji internetowej na poziomie strony działa bliżej strony i czyta faktyczną treść każdego żądania, wyłapując wzorce ataków, których zapora sieciowa może nie zauważyć
- Można je ustawić na poziomie platformy w zarządzanych usługach hostingowych albo dodać przez wtyczkę lub usługę bezpieczeństwa na stronach zarządzanych samodzielnie
- Oba rodzaje obejmują inny obszar i dobrze działają razem. Dostawca hostingu, który zawiera ochronę zaporą na poziomie sieci, obsługuje już dużą część zautomatyzowanych ataków, zanim potrzebna jest jakakolwiek konfiguracja na poziomie strony
Jak zapora aplikacji internetowej wpisuje się w pełne zabezpieczenie
Zapora działa obok innych zabezpieczeń, z których każde obejmuje inny rodzaj ryzyka.
- Zapora filtruje szkodliwe żądania. Aktualizowanie oprogramowania zamyka słabe punkty, w które te żądania celują. Razem obsługują dwie najczęstsze drogi ataku
- Silne hasła i uwierzytelnianie dwuskładnikowe zatrzymują dostęp przez skradzione dane logowania, którego żadna zapora sama nie zablokuje
- Kopie zapasowe pozwalają stronie szybko wrócić do działania, gdy coś jednak się przedrze. Pełny przewodnik znajdziesz w artykule jak tworzyć kopie zapasowe strony
Jak WEMASY obsługuje ochronę zaporą
Hosting WEMASY zawiera ochronę zaporą i filtrowanie ruchu na poziomie sieci. Szkodliwe żądania i ataki zalewające są filtrowane, zanim dotrą do poszczególnych stron na platformie. Jest to wbudowane w każdy plan i nie wymaga konfiguracji ze strony właścicieli stron.
Aktualizacjami oprogramowania zarządza platforma, więc strony są chronione przed znanymi słabymi punktami bez żadnych działań z Twojej strony. Certyfikaty SSL są częścią planów i stosowane automatycznie na każdej stronie.
Zobacz, co jest w zestawie, na stronie kreatora stron WEMASY albo sprawdź plany na stronie z cennikiem.
Najczęściej zadawane pytania
Czym jest zapora aplikacji internetowej?
Zapora aplikacji internetowej, czyli WAF, to warstwa ochrony między Twoją stroną a ruchem przychodzącym z internetu. Sprawdza każde przychodzące żądanie według zestawu reguł opisujących, jak wyglądają szkodliwe żądania, i blokuje pasujące, zanim dotrą do Twojej strony. Różni się od zwykłej zapory sieciowej, która kontroluje połączenia na szerszym poziomie. Zapora aplikacji internetowej czyta treść każdego żądania, a tam ukryte są ataki internetowe. W kreatorze stron WEMASY możesz to ustawić bezpośrednio na swojej stronie.
Jakie ataki blokuje zapora aplikacji internetowej?
Zapora aplikacji internetowej blokuje wiele typowych ataków internetowych, w tym SQL injection (wstawianie szkodliwych poleceń bazy danych do formularza lub adresu URL), cross-site scripting (umieszczanie szkodliwych skryptów na stronach, które potem ładują inni odwiedzający) i ruch botów skanujących stronę w poszukiwaniu słabych punktów. Blokuje też żądania ze znanych narzędzi ataków, które wysyłają żądania według rozpoznawalnych wzorców. Zapora robi to automatycznie, na podstawie reguł aktualizowanych, gdy znajdowane są nowe metody ataku.
Czy zapora aplikacji internetowej zastępuje inne środki bezpieczeństwa?
Nie. Zapora aplikacji internetowej to jedna część zabezpieczeń, a nie kompletne rozwiązanie. Filtruje szkodliwe żądania przychodzące, ale nie zatrzyma ataków używających skradzionych haseł, bo logowanie z poprawnymi danymi wygląda jak normalne żądanie. Nie skanuje też własnych plików strony pod kątem szkodliwego kodu, który mógł już tam być. Najlepiej działa razem z silnymi hasłami, uwierzytelnianiem dwuskładnikowym, aktualizacjami oprogramowania i regularnymi kopiami zapasowymi.
Czym różni się zapora sieciowa od zapory aplikacji internetowej?
Zapora sieciowa kontroluje ruch na poziomie połączeń i decyduje, które serwery i sieci mogą się ze sobą komunikować. Zapora aplikacji internetowej działa na poziomie treści: czyta szczegóły każdego przychodzącego żądania i blokuje te, które pasują do szkodliwych wzorców. Oba działają na różnych poziomach i służą różnym celom. Wielu dostawców hostingu zawiera ochronę zaporą sieciową, która obsługuje ataki na dużą skalę, a zapora aplikacji internetowej dodaje bardziej szczegółową ochronę treści i kodu samej strony.
Czy potrzebuję zapory aplikacji internetowej, jeśli mój hosting już zawiera ochronę zaporą?
Ochrona zaporą na poziomie hostingu zwykle działa na poziomie sieci i filtruje ataki na dużą skalę oraz zalewanie ruchem. Zapora aplikacji internetowej działa bliżej samej strony i potrafi czytać treść pojedynczych żądań, wyłapując wzorce ataków, których zapora sieciowa może nie zauważyć. To, czy potrzebujesz obu, zależy od Twojego hostingu. Zarządzane platformy hostingowe, które zawierają ochronę zaporą na poziomie platformy, często obejmują najczęstsze rodzaje ataków bez dodatkowej konfiguracji. Przy hostingu zarządzanym samodzielnie warto dodać zaporę aplikacji internetowej.
Jak często aktualizuje się reguły zapory aplikacji internetowej?
Zarządzane usługi zapory aplikacji internetowej aktualizują reguły automatycznie, gdy znajdowane i dokumentowane są nowe metody ataku. To jeden z głównych powodów, żeby wybrać usługę zarządzaną zamiast ręcznie skonfigurowanego rozwiązania. Przestarzałe reguły sprawiają, że zapora jest znacznie mniej skuteczna wobec dzisiejszych ataków. Przy zaporze lub wtyczce zarządzanej samodzielnie upewnienie się, że dostaje regularne aktualizacje, jest tak samo ważne jak jej zainstalowanie.